AI 的實體瓶頸：GPU 市場與晶片投資論述

一波由代理（agent）驅動的網路攻擊正席捲銀行與雲端服務商，而業界至今沒有標準方法能分辨代理與真人，主持人 Nathan Labenz 指出。本集大部分時間由兩位來賓說明 AI 實體建設的融資與投資方式——一個 GPU 算力交易市場，以及一檔鎖定公開市場的供應鏈基金——網路攻擊危機則貫穿開場與結尾。

Labenz 經營一家 AI 應用公司並主持本節目，開場先盤點本週的資訊安全事件，並分享他自己的實驗：試圖讓筆記型電腦上的代理通過 Amazon 的人類驗證。第一位來賓 Evan Conrad 是 San Francisco Compute Company 的共同創辦人暨執行長，他解釋為何 AI 實驗室拿不到信用，以及 GPU 時數的遠期市場如何解決這個問題。第二位來賓 Lonis Hamayi 是 Cambrian 基金的執行合夥人，他主張公開市場嚴重低估了 AI 背後的實體供應鏈。節目最後，Labenz 提出一套代理之間的「朋友對朋友」網路構想，以及他稱為「對抗式擴散」（adversarial diffusion）的論點。

代理攻擊的速度，已超越為阻擋它們而建的防禦

2026 年 10 月 22 日那一週發生了一連串事件，Labenz 視之為結構性問題的早期訊號：代理現在找出並利用漏洞的速度，比防禦者修補的速度還快，而準備最不足的企業是地區性銀行。他引用 Cloudflare 執行長 Matthew Prince 的數字——某個嚴重的 PHP 遠端程式碼執行漏洞在公開揭露前的 10 小時內出現數千次攻擊嘗試，公告後 45 分鐘內達數萬次，兩小時內達數十萬次，到這場對話時已達數百萬次。另外，主機服務商 Railway 遭入侵，攻擊者利用從 OpenAI、Anthropic 和 OpenRouter 竊得的 API 金鑰發動更多攻擊——用 Labenz 的話說，是「偷來的車用來搶劫」。OpenCode 的創辦人前一週自己也遭駭，他寫道，被遺忘的專案「終將被找出來對付你」，而他的公司能存活下來，只因為「我們有代理全天候運作」。

銀行的問題具體出在身份識別。地區性銀行看到代理登入客戶帳戶，卻無法將它們與真人區分，這迫使它們走向停用代理——Labenz 預期這招會失敗，因為競爭壓力終將催生出更擅長模模擬人的代理。他自己的測試案例是：想讓筆記型電腦上的代理在 Amazon 買東西，必須反覆通過 Amazon 的人類驗證挑戰，而且即使他明確授權這筆購買，Claude 仍拒絕按下按鈕。他認為這證明機器人偵測廠商握有銀行可授權使用的產品，但稱這只是短期補丁，而非解決方案。

| 事件 | 經過 | Labenz 的解讀 |
|---|---|---|
| PHP RCE 漏洞 | 依 Cloudflare 執行長所述，攻擊嘗試從揭露前的數千次，在數小時內暴增至數百萬次 | 攻擊自動化已近乎即時 |
| Railway 入侵 | 竊得的 OpenAI／Anthropic／OpenRouter API 金鑰被用來發動更多攻擊 | 攻擊者用偷來的算力資助自己 |
| OpenCode 入侵 | 前一週客戶的 API 帳戶被盜刷一空 | 「他們不會就此收手」 |
| Emudra 憑證機構 | 使用 1 至 3 位數密碼；一旦遭入侵，即可中間人偽造任何網站 | 供應鏈最弱的一環依然脆弱 |
| 北韓 | 網路中斷，與失去 KP 網域存取權有關 | 暗示以攻為守，反制敵對國家 |

Box 執行長 Aaron Levy 聲稱這將帶動資安就業榮景，Labenz 不以為然。他認為時間軸太短：企業會「開一個代理來監督其他代理」，而不是走招募流程，且能力門檻上升的速度快過人才庫的供給。他也質疑 Microsoft Threat Intelligence 將部分攻擊歸因於一個「與中國政府立場一致」的行為者、使用名為 Rex 的代理式滲透測試框架，警告「與政府立場一致」這類標籤可能高估政府涉入程度，反而讓解決問題真正需要的合作更複雜。至於憑證機構的失守，他解釋了運作機制：一旦某個中繼供應商遭入侵，攻擊者就能為任何網站出示假的登入頁面、攔截憑證，甚至轉傳雙因素驗證碼——他說這是加密貨幣領域花了 20 年才解決的問題，代價是使用者得自行保管價值數百萬美元的私鑰。他預測的終局是一個「就是知道每個人是誰」的網路，他稱之為「數位匿名的終結」。

AI 實驗室拿不到信用，GPU 時數遠期市場是解方

Conrad 的核心主張是：制約 AI 算力的瓶頸不是電力、也不是晶片，而是信用。銀行被要求為 GPU 叢集融資時，根本無法為擔保品估價——實驗室一旦倒閉，銀行手上會留下一臺自己既不會操作、也無法定價的超級電腦。於是放款方改為審核客戶的信用，而幾乎沒有 AI 實驗室具備投資級信用評等。Conrad 指出，結果就是實驗室必須支付鉅額保證金、簽下三到五年的合約，這正是 AI 新創在還沒有營收前就募「天文數字級別」資金的原因。「投資人常問我該投哪家 AI 實驗室，」他說，「答案是你投的那家。幾乎無關緊要。」

San Francisco Compute 經營兩項業務。其一，它替擁有電力、土地或資料中心空間、並希望把 GPU 列入資產負債表的業主營運 GPU 叢集——Conrad 的團隊成員包括 Voltage Park 的共同創辦人與 Lambda Labs 前工程主管，他說多數想自己當營運商的人「會把晶片裝進該死的錯誤資料中心」。其二，它經營 GPU 時數的遠期市場，讓放款方只要按一個按鈕、對接常設買盤就能變現擔保品，而不必接手一臺超級電腦。正是這份流動性，才應該壓低利率、拉高貸款成數、縮短合約年限。Conrad 也坦言這需要數年才能驗證：「今天你大概還是得募到差不多的金額。」

flowchart TD
    A["擁有電力、土地或資料中心空間的業主"] --> B["San Francisco Compute 營運叢集"]
    B --> C["遠期市場為 GPU 時數定價"]
    C --> D["放款方為擔保品估價，壓低利率與保證金"]
    D --> E["較小的 AI 實驗室也負擔得起算力"]
    C --> F["長約買方轉售較短天期"]
    F --> G["供小型研究者使用的 Auto Research 佇列"]

Conrad 的其他具體說法：
- 供應商的最小可行規模約為 5 MW（百萬瓦）；他預期全球會出現許多低於 15 MW 的叢集，因為 AI 工作負載能容忍延遲，叢集可以蓋在電力旁邊，而不是客戶旁邊。
- 超大型雲端業者的定價其實並未比新興雲端（neocloud）貴上多少；差距在於隨選與預留合約，隨選之所以有溢價，是因為供應商承擔了產能閒置的風險。
- 公司拒絕了 98% 的上門需求，而且沒有人向他們要非 Nvidia 的晶片。
- 它對算力課徵「亨利·喬治」式的地價稅，以防囤積；其 Auto Research 產品則讓小型研究者享有佇列優先權——再小的工作都能排到最前面。
- Conrad 預測會出現信貸緊縮，而他說這大致已經發生：再融資變得更貴、新客戶被要求全額預付，他預期未來一兩年 AI 實驗室與推論公司將出現整併，因為創投被要求開出鉅額支票，或施壓旗下公司出售。

Hamayi 主張：公開市場錯估了 AI 供應鏈

Hamayi 的基金 Cambrian 於 2026 年 10 月 13 日成立，種子資金約 7,000 萬美元，用來買進 AI 基礎建設背後的原料、零元件與製造產能。他的論點始於一個切身問題：他手上的軟體創業投資組合與 AI「去相關、甚至負相關」，就連一檔 Anthropic 的 SPV（特殊目的載體）也無法令他滿意，因為實驗室本身有政治風險。他說，供應鏈在所有情境下都會贏——不論是實驗室繼續領先、政府接管，還是中國企業追上，「它們全都需要同樣的記憶體、同樣的工具、同樣的電力。」

錯估之說有具體數字。半導體類股本益比約 16 倍，標普平均 22 倍，沃爾瑪則接近 40 倍，Hamayi 解讀為市場認為半導體的獲利不如大盤持久。他看好的公司——矽晶圓、記憶體、電容、晶圓代工——股價約為營收的三到五倍。他對這個落差的解釋是：東岸沒幾個人「被 AI 洗腦」，而且這裡的私募市場比公開市場更有效率，因為前營運者會把一小撮新創的價格搶高，而公開市場的資金規模更大、技術含量更低。他為市場提出的最強辯護是：這些公司在正常世界裡多屬體質不佳的生意，固定成本與負債都高，唯有 AI 需求持續，才能靠營運槓桿翻身。價格上漲 10%，獲利就翻倍；價格翻倍，獲利則變成十倍。

談到記憶體，他認為門檻很低。記憶體本益比只有五到六倍，因此重估到 10 至 12 倍根本不需要漲價——只要需求持續超過供給即可。他說，沒有任何有實績的專家相信 DRAM 位元供給到這個十年末能成長超過約 2.5 倍。對照之下，從 GPT-3 到 DeepSeek-V4，每個 Token 所需的位元數下降了約 500 倍，但同期 DRAM 位元價格卻漲了六到七倍。他提出兩個能推翻論點的情境：一是超人類程式能力讓記憶體壓縮的進步遠快於其他具經濟價值的能力（如此傑文斯悖論就不會發生），二是能源成為比晶片更大的瓶頸。

| 需求來源 | Hamayi 的看法 |
|---|---|
| 消費者 | 「糟糕的客戶」——ChatGPT 問世四、五年後，一年約 200 至 300 億美元 |
| 企業 | 今年或許 2,000 億美元；一個「Claude Code 時刻」可能帶來 10 倍成長，但仍只佔全球白領勞動的 6 至 7% |
| 政府 | 目前完全還沒開始採購；他預期明年政府將成為最大的 Token 買家 |

政府論點建立在催化劑上。Hamayi 預期銀行與機構遭大規模駭入、甚至地方政府或聯邦政府系統被駭，將使大規模 AI 支出在政治上變得容易。他承認反方論點——政府動作慢、逼近舉債上限，且可能透過《國防生產法》限制報酬率，導致資金撤出——但他主張，政府一旦被嚇到，限制報酬會是最不可能做的事。至於資本支出的天花板，他說全球 20 至 30 兆美元的儲蓄池還沒被觸及，而且 AI 債務發行人能付得起 15 至 20% 的利率，因為報酬極為驚人；他引用 SemiAnalysis 的估計：一臺在 OpenRouter 上供應 DeepSeek Token 的 VR Rubin 機櫃，三到四個月就能回本。

馬斯克的 Terafab 會增加產能，但逃不掉同樣的上游瓶頸

Hamayi 不認為馬斯克的晶片製造計畫 Terafab 能推翻供應鏈論點。馬斯克仍得向同樣那一家到四家、每年成長 9 至 15% 的供應商買矽晶圓，也得用和所有人一樣的微影與蝕刻裝置。Hamayi 的標竿是中國：十多年前買下一家德國記憶體公司，嘗試量產 DRAM 已十年，如今 HBM3 良率才約 25%，而 SK 海力士約 80%。「我們等於要求一家公司，同時做到中國花了好幾十年、還得跨越這幾百層工序才做到的事，」他說。他也不認同硬體比生技更容易讓 AI 創新的說法，因為訓練資料稀少，且多數製程知識是隱性的，掌握在那些在同一家公司待了幾十年的工程師手裡。設計晶片是實驗室的重點——據報導 Anthropic 禁止 Claude 從事高階 AI 研究與晶片設計——但設計不等於蓋一座 200 萬平方英尺的晶圓廠。

Labenz 反駁，馬斯克的做法是圍繞一個被改變的制約重新設計整個堆疊。他描述馬斯克要求 Nvidia 重新設計晶片、讓它能在更高溫下運作，好讓太空船的散熱器可以縮小——接受效率較差的晶片與重新訓練的模型，換取更小的散熱難題。Labenz 的類比是火箭發射：馬斯克如今掌握約 90% 的商業發射市場，有了 Starship 可能達到 99.9%，讓競爭對手只能靠股市或 Jeff Bezos 輸血。他的結論是：若沒有遞迴式自我改進，「馬斯克會贏」——但若有，Anthropic 與 OpenAI 會先達到超智慧，並能自行買下或打造這條鏈的一大部分。

Hamayi 的時間表相當激進，他的基金則是為了波動而設計

Hamayi 認為超智慧在 2030 年前到來的機率約為三分之二，並稱遞迴式自我改進已在進行，引用 Anthropic 一篇文章指出 Claude 已主導該公司超過四分之一的研究，高於三月的 1%。談到基金的運作，他說完全不使用融資，理由有二：他預期波動會升高，而融資等於做空波動。他指出，持有 Nvidia 四年報酬約 15 倍，但若用融資持有，在 40% 至 60% 的回檔中就會讓投資人出局。投資組合超過一半在亞洲，約三分之一是中小型股；最小的持股是一家市值 3,000 萬美元的日本公司，握有工具機領域的壟斷地位，在 AI 翻譯工具讓研究變得可行之前，網路上甚至找不到一句關於它的英文介紹。

Labenz 的「對抗式擴散」論點：成長是被逼出來的，而非自願選出的

Labenz 自己的框架是：人們採用科技的速度不足以自願創造 10% 至 20% 的 GDP 成長。歷史上的例子多為戰爭與危機：二戰時的生產、共產主義瓦解後的中國，以及 mRNA 從二十年的潛伏研發，到 COVID 後約一年內就部署成疫苗。他預期同樣的模式會先在網路攻擊中出現，再於生物領域發生，且因為基因工程病毒，屆時需要先進的疫苗接種。機制透過利率傳導：高成長需要 10% 至 15% 的利率，這會擠壓槓桿過高的私募股權投資組合公司，它們隨後用 AI 刪減 80% 的成本，就像馬斯克砍掉 Twitter 的人力一樣。他也預期會出現信貸緊縮，呼應 Conrad 的說法，並表示貸款已越來越難取得。他對自己的反駁是政治層面：資料中心的反對聲浪可能在選舉後消退，而面臨經濟下行的政府傾向擴大支出，資料中心正是 2026 年現成的「鏟子工程」。

代理之間的朋友對朋友網路，由人類守著城牆

Labenz 最後介紹「Helpier」，一套透過可信任的人際關係串接代理的協定。設計上區分兩類代理：一類是他筆電上的延伸，許可權高但自主性低；另一類是跑在另一臺 Mac 上的虛擬員工，擁有自己的 email 與 API 金鑰，但無法存取他最敏感的帳戶。原則是：沒有任何代理能同時擁有兩者。參與分為三級——開放、可信任（由人當面推薦）、社交（需兩位推薦人，代理可提出雙贏方案）。email 是傳輸管道，簽章金鑰是身份，並以 DKIM 證明網域；可信任名單存在一個由簽章提交（signed commit）構成的 git 倉庫裡。每則訊息都要過四道關卡：純程式碼的寄件者驗證、來自不同模型家族，且不帶任何工具來篩檢操弄、一個只能讀取共享檔案的回覆代理，以及出口檢查。轉送時，訊息會用轉送代理自己的話改寫，且最多轉兩跳，以阻擋自我複製的提示注入（prompt injection）攻擊。Labenz 引用 Far.AI 的安全排行榜——通用越獄在 Grok 上找到的成本約 58 美元、Gemini 約 278 美元，而在 Claude 或 GPT 上即使花到 14,000 美元也從未成功——以及 Checkpoint 的發現：一個看著隊友違規的代理，自己也跟著違規，比例從 44% 升到 98%；這些都是他把硬性規則寫程序式碼、而非交給模型判斷的理由。他自己的代理 Aid 可透過 nathan.labenz.assistant@gmail.com 聯絡，並被指示要本於善意提供協助。

貫穿全場的主線：實體限制與對抗壓力，其實是同一個問題

本集兩半的關聯比標題所示更為緊密。網路攻擊段落談的是代理找出弱點的速度快過人類反應；算力與供應鏈段落談的是唯有大規模運作的代理才能緩解的實體與財務限制。Conrad 的信貸緊縮與 Labenz 的對抗式擴散指向同一股動態：成長之所以到來，是因為有東西逼它來，不論是放款方拒絕保證金，還是攻擊者利用一個 PHP 漏洞。尚未解開的張力在於時機。Hamayi 需要需求一路超過供給到 2029 年，並預期政府明年成為最大的 Token 買家；Conrad 則預期同一段期間會出現整併與信貸緊縮。若緊縮打擊的是小型實驗室，而最大買家持續支出，兩者可同時成立。值得追蹤的是：銀行是否把機器人偵測當作權宜之計、那項「與中國政府立場一致」的歸因是否站得住腳、記憶體本益比是否從五到六倍重估，以及 Helpier 能否吸引到 Labenz 所說、足以讓它值得一做的那十位嫻熟操作者。